CVE-2026-101046 in Fleet
摘要
由 VulDB • 2026-09-27
Fleet versione precedente alla 4.89.0 presenta una vulnerabilità di SQL injection negli endpoint dell'elenco delle attività (GET /api/v1/fleet/activities e GET /api/v1/fleet/hosts/{id}/activities). Il helper deprecated cursor-pagination appendListOptionsWithCursorToSQL interpolava la chiave sort/order fornita dall'utente nell'istruzione SQL ORDER BY senza un allowlist, consentendo a un utente autenticato con accesso in lettura alle Attività di ordinare i risultati per colonne arbitrarie. L'impatto è limitato alla sola lettura e confinato alle colonne della tabella activity_past che non vengono altrimenti restituite da queste risposte (ad esempio details), permettendone l'inferenza dei valori tramite l'ordine di ordinamento risultante; non vi sono accesso in scrittura, escalation dei privilegi o raggiungibilità di node_key o altre colonne join relative agli host attraverso questi endpoint. Risolto nella versione 4.89.0, che rimuove il helper deprecated e passa la colonna sort attraverso SanitizeColumn.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.